各位师傅好，好像开场白过于多了，咱们就直接进入主题能吧 有点随意了 各位见谅
废话不说直接开始演示，主界面
注册一个账号进去尝试未授权删除 界面如下
未授权删除学历学位
ID为xxx５５
在此查询 发现已经删除
验证如下 注意看 没有cookie 也一样删除了。打马有点严重 但是不影响查看
通过尝试发现只需要遍历ID值，可以删除全站用户信息（通过修改相对应的参数还可以未授权删除其他东西） 危害还是蛮大的这个
想要进去请公众号回复加群即可 再次给各位大佬磕头，别骂了别骂了 都傻了
特别声明：
由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，我不为此承担任何责任。
作者有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者的允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。切勿用于非法，仅供学习参考
我不会渗透，我们下次再见！
原文始发于微信公众号（深夜笔记本）：未授权删除漏洞一枚
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论